14 сентября 2026 г. | Microsoft Windows | Active Directory | ИТ-безопасность
После выхода сентябрьского обновления безопасности KB5124008 для Windows 11 (сентябрь 2026 г.) всё чаще появляются сообщения о необычной проблеме в классических средах Active Directory.
Затронуты в первую очередь клиенты Windows 11, входящие в локальный домен Active Directory. После установки обновления защищённый канал (Secure Channel) между компьютером и контроллером домена может быть повреждён.
В результате компьютер по-прежнему физически доступен в сети, однако вход в домен внезапно перестаёт работать.
Что такое KB5124008?
Microsoft выпустила KB5124008 8 сентября 2026 г. в качестве обновления безопасности для Windows 11 24H2 и 25H2.
В Windows 11 25H2 обновление поднимает систему до сборки 26200.9445, в Windows 11 24H2 — до сборки 26100.9445. Microsoft в целом описывает его как обновление безопасности и качества.
Microsoft уже документирует несколько известных проблем, связанных с KB5124008, в том числе проблемы со службами удалённых рабочих столов (Remote Desktop Services), USB-аудиоустройствами и виртуальными машинами Linux на базе Hyper-V. Однако проблема с защищённым каналом Active Directory в официальной документации KB пока не указана в списке известных проблем (Known Issues).
Суть проблемы: защищённый канал к домену
Компьютер, входящий в домен, имеет собственную учётную запись компьютера в Active Directory.
Между компьютером и контроллером домена существует так называемый безопасный канал (Secure Channel). Он необходим, в частности, для доверительных отношений между компьютером и доменом.
Если этот канал повреждён, пользователь может внезапно потерять возможность войти в домен.
Самое коварное:
Имя пользователя и пароль при этом остаются правильными.
Windows, например, сообщает:
«Неправильное имя пользователя или пароль.»
На самом деле проблема не в пароле пользователя, а в доверительных отношениях компьютера с доменом.
Типичная картина ошибки
В опубликованном одним администратором воспроизводимом случае наблюдалось следующее поведение:
Windows 11 25H2
Сборка 26200.9445
Обновление KB5124008
классический домен Active Directory
Контроллер домена под управлением Windows Server 2019
После установки обновления вход в систему поначалу ещё работал. Однако через некоторое время доверительные отношения оказывались нарушены.
Администратору удалось воспроизвести ошибку на нескольких устройствах: установить обновление → проблема возникает → удалить обновление → проблема исчезает. После повторной установки KB5124008 ошибка появлялась снова.
Интересно также, что и другой администратор сообщает о проблемах с контроллерами домена Windows Server 2022. В других отчётах об опыте эксплуатации проблема описывается даже для разных версий контроллеров домена. Это в настоящее время говорит против поспешного вывода о том, что ошибка ограничивается исключительно Windows Server 2019.
Как проверить наличие ошибки
Если на затронутом компьютере ещё можно войти под локальной учётной записью администратора или с помощью кэшированных доменных учётных данных, состояние Secure Channel можно проверить через PowerShell.
От имени администратора:
Test-ComputerSecureChannel
При исправно работающем защищённом канале (Secure Channel) команда должна вернуть:
True
На затронутом компьютере вместо этого может появиться:
False
в качестве результата.
Дополнительно можно выполнить проверку с помощью nltest:
nltest /sc_query:DOMAIN
При этом может, например, возникнуть ошибка
ERROR_NO_TRUST_LSA_SECRET (1786)
возникать.
Именно такая картина ошибки была задокументирована в обращении на Microsoft Q&A.
Важно: не спешите сбрасывать пароль пользователя
Такая картина ошибки наводит на мысль, что сначала нужно сбросить пароль затронутого пользователя.
Однако в данном случае это, как правило, неверное направление.
Если несколько пользователей на одном и том же ПК внезапно перестают входить через домен, тогда как, например, кэшированный вход в автономном режиме по-прежнему работает, в первую очередь следует проверить доверительные отношения компьютера с доменом.
Типичный признак:
Test-ComputerSecureChannel
возвращает:
False
Возможная попытка восстановления
В качестве первой попытки восстановления можно заново установить Secure Channel:
Test-ComputerSecureChannel -Repair
при необходимости — с указанием учётных данных доменной учётной записи с соответствующими правами.
В качестве альтернативы пароль учётной записи компьютера можно сбросить с помощью PowerShell.
Однако здесь следует проявлять осторожность:
В зафиксированных на данный момент случаях восстановление не всегда даёт устойчивый результат.
Например, в исходном случае из Microsoft Q&A команды Test-ComputerSecureChannel -Repair оказалось недостаточно. В итоге компьютер пришлось вывести из домена, а затем снова присоединить к нему.
Другие администраторы, напротив, сообщают, что команда Repair помогла хотя бы временно. Поэтому, судя по всему, картина сбоя не одинакова на всех затронутых системах.
Если восстановление не помогает
Если безопасный канал (Secure Channel) по-прежнему неисправен, в качестве более трудоёмкой меры может потребоваться повторное присоединение к домену.
В упрощённом виде:
Разрешить локальный вход с учётной записью администратора
Вывести компьютер из домена
Перезагрузить компьютер
Снова ввести компьютер в домен
Перезагрузить ещё раз
Проверить вход в домен
В задокументированном случае воспроизведения именно эта процедура потребовалась для того, чтобы окончательно устранить ошибку.
Стоит ли пока отложить установку KB5124008?
Здесь нужно подходить дифференцированно.
KB5124008 — это обновление безопасности, и его не следует просто удалять во всех средах без разбора.
В то же время администраторам классических сред Active Directory сейчас стоит особенно внимательно следить за установкой этого обновления.
Вместе с KB5124008 Microsoft выпускает важные улучшения безопасности. Кроме того, обновление распространяется через Windows Update, Windows Update for Business и WSUS.
Поэтому для продуктивных сред рекомендуется контролируемое развёртывание:
Тестовая группа → наблюдение → более широкая группа → полное развёртывание
а не обязательно:
Обновить все клиенты одновременно.
Особенно на устройствах, которые нужны пользователям для ежедневного входа в систему, должна быть также локальная учётная запись администратора или работающий способ восстановления.
Что мы рекомендуем на данный момент
Компаниям с классическим Active Directory мы сейчас рекомендуем следующее:
1. Проверить затронутые версии Windows 11
На клиенте:
winver
или:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Проверить, установлено ли обновление KB5124008
Get-HotFix -Id KB5124008
3. При проблемах со входом проверить Secure Channel
Test-ComputerSecureChannel
4. Если результат False, сначала попытаться выполнить восстановление
Test-ComputerSecureChannel -Repair
5. При повторяющихся проблемах задокументировать причину
В частности, следует зафиксировать следующие сведения:
Версия Windows
OS-Build
Установленные обновления KB
Версия контроллера домена
Время возникновения проблемы
Результат выполнения Test-ComputerSecureChannel
Результат выполнения nltest /sc_query
События на клиенте и контроллере домена
Это позволит значительно точнее определить, действительно ли проблема связана с обновлением.
Окончательная причина пока не подтверждена
Здесь необходимо сделать важную оговорку:
О связи между KB5124008 и повреждёнными защищёнными каналами домена (Secure Channel) в настоящее время воспроизводимо сообщают администраторы, однако по текущим данным она не указана как соответствующая известная проблема (Known Issue) в официальной документации Microsoft KB.
Исходное сообщение на Microsoft Q&A описывает воспроизводимую ситуацию с Windows 11 25H2 и контроллерами домена Windows Server 2019. Другие администраторы сообщают о похожих проблемах, в частности и с Windows Server 2022.
В том числе поэтому не стоит поспешно утверждать, что KB5124008 однозначно является причиной каждой текущей ошибки «Trust Relationship».
По-прежнему необходимо исключать другие причины, такие как проблемы с DNS, расхождение времени, проблемы с учётной записью компьютера или сетевые/VPN-компоненты.
Вывод
За KB5124008 в средах Active Directory сейчас следует наблюдать особенно внимательно.
Если после сентябрьского обновления сразу несколько пользователей одного ПК с Windows 11 внезапно не могут войти в домен, хотя учётные данные верны, стоит проверить доверительные отношения компьютера с доменом.
Самый важный первый тест:
Test-ComputerSecureChannel
Если команда возвращает False, то, скорее всего, имеется проблема с защищённым каналом (Secure Channel) между компьютером и доменом.
Поскольку имеющиеся отчёты показывают, что простое восстановление помогает не на всех системах и не всегда надолго, затронутые устройства следует тщательно задокументировать и не спешить менять учётные записи пользователей или пароли.
Информация актуальна по состоянию на 14 сентября 2026 г.
Мы следим за развитием ситуации вокруг KB5124008 и обновим эту статью, как только Microsoft опубликует официальное заявление или соответствующее исправление.